Уязвимость в почтовом клиенте Microsoft Outlook позволяет удалённому злоумышленнику выполнить произвольный код на чужой машине. Клиент входит в пакеты Microsoft 365 Apps for Enterprise, а также Office LTSC 2021 и LTSC 2024. Оценка по CVSS 3.1 - 9,8 из 10, по версии 2.0 - все 10 баллов. В Банке данных угроз безопасности информации проблема числится под номером BDU:2026-16585 с критическим уровнем опасности. Производитель подтвердил её и закрыл в свежих сборках Office.
CVE-2026-97016 в Outlook и пакетах Office
Ошибка относится к переполнению буфера в динамической памяти (CWE-122). Проще говоря, клиент записывает данные за границы участка памяти, который под них выделен. Запись выходит за пределы блока, и содержимое соседних областей меняется. На таком механизме строят эксплойт: чужие данные оказываются в памяти и получают управление.
Способ эксплуатации в карточке описан скупо - манипулирование структурами данных. Речь о сведениях, которые Outlook разбирает при обработке почты. Вектор сетевой. Привилегии на целевой системе не нужны. Взаимодействие пользователя, судя по вектору CVSS, тоже не требуется. Кликать по вложению или открывать письмо не обязательно: код срабатывает в тот момент, когда клиент разбирает поступившие данные. Влияние на конфиденциальность, целостность и доступность максимальное по всем трём показателям.
Код исполняется с правами учётной записи, под которой работает Outlook. Обычно это и почтовый ящик, и локальные файлы, и доступ к корпоративным ресурсам. Outlook входит в стандартный набор офисных программ у большинства компаний, а на терминальных серверах один клиент обслуживает десятки сотрудников. Клиент принимает данные из интернета без отдельного запроса, поэтому ошибка в разборе почты бьёт по самому внешнему контуру рабочей станции.
Дата выявления - 13 октября 2026 года. Статус наличия эксплойта в карточке не определён: данные уточняются. Сведений о применении уязвимости в реальных атаках там нет, так что речь пока идёт о закрытой дыре, а не о кампании злоумышленников.
Office LTSC 2024 закрыт начиная со сборки 16.0.17932.21056, LTSC 2021 - с 16.0.14334.20974. Обе доступны в 32- и 64-битных редакциях. Подписочный Microsoft 365 Apps for Enterprise обновляется по каналам, отдельного номера сборки в карточке для него нет. Первоисточник - бюллетень Microsoft по идентификатору CVE-2026-97016, ссылка на него приведена в описании BDU.
Обновиться нужно до сборок не ниже указанных; в подписочном Office стоит проверить, что обновления не отложены на недели вперёд. Номер сборки виден в окне "О программе": если он меньше приведённых значений, исправление на машину не встало. После установки перезапустите Outlook и остальные приложения Office. Без перезапуска в памяти остаётся прежняя версия клиента, и защита не работает. На терминальных серверах обновление ставится один раз на сам сервер, иначе каждая пользовательская сессия сохранит уязвимую сборку. Если немедленная установка невозможна, единственная разумная мера - не открывать почту с такой машины и не подключать её к общим ресурсам до обновления.
Пока исправление не установлено, единственное препятствие для атакующего - доставить набор данных по сети. Переполнение буфера в клиенте, который по своей работе принимает почту из интернета, остаётся одним из самых коротких путей к чужому коду на рабочей станции. Полное влияние по всем трём свойствам и оценка 9,8 означают, что цена задержки с обновлением здесь выше обычной.
Ссылки
- https://bdu.fstec.ru/vul/2026-16585
- https://www.cve.org/CVERecord?id=CVE-2026-97016
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-97016
